为 Office 365 配置 SAML SSO

这些步骤将指导您完成 ADSelfService Plus 和 Office 365 之间的单点登录功能设置。

注意：

• 仅能够为在 Azure AD 中验证的域启用 SSO。
• 无法为 Microsoft 创建的 "onmicrosoft.com" 域启用 SSO。
• 无法为默认域（即用户创建的主要域）启用 SSO。只可为自定义域配置。Office 365 禁止对默认域进行 SSO 配置，以确保即使 IdP 出现问题，管理员也能登录 Office 365。如果您的组织没有自定义 Office 365 域，则需要购买一个以便配置 SSO。
• 联合域，即启用了SSO的域，不能配置为密码同步。

链接Office 365和本地Active Directory用户帐户

1. 使用Azure AD Connect

   • 将GUID设为sourceAnchor：如果您有Azure AD Connect，则使用它将Office 365中的sourceAnchor属性更新为AD的GUID属性值。
   • 将其他唯一AD属性设为sourceAnchor：如果您已为sourceAnchor属性指派了GUID以外的不同属性值，请在ADSelfService Plus中使用账户链接选项将其映射到Active Directory中的对应属性。

2. 使用第三方GUID到ImmutableID转换工具

   • 将GUID转换为ImmutableID：如果您没有Azure AD Connect，则可以下载第三方“GUID到ImmutableID转换器”工具。使用该工具将每个用户的GUID值转换为ImmutableID值，并在Office 365中更新它们。
   • 更新Office 365中的ImmutableID值：一旦转换了GUID到ImmutableID，您需要使用以下给定的PowerShell命令为每个用户更新Office 365中的值。

     为新用户创建时更新ImmutableID属性的命令

     $cred = Get-Credential
     Connect-MsolService -Credential $cred
     New-MsolUser -UserPrincipalName "user01@mycompany.com" -ImmutableId "<immutable_id>" -DisplayName "user 01" -FirstName "user" -LastName "01" -LicenseAssignment "<service_pack>" -UsageLocation "<location>"

     注意：您可以使用此命令检查更新是否成功：Get-MsolUser -All | select userprincipalname,ImmutableId

     为现有用户更新ImmutableID属性的命令

     Set-Msoluser -UserPrincipalName "<user_mailID>" -ImmutableID “<immutable_id&gt ”

前提条件

1. 以管理员身份登录到ADSelfService Plus。

2. 导航到 配置 → 自助服务 → 密码同步/单点登录 → 添加应用程序，并从显示的应用程序中选择Office 365。
   注意：您也可以从左侧窗格的搜索栏或右侧窗格的字母导航选项中找到您需要的Office 365应用程序。
3. 点击屏幕右上角的IdP详情。

4. 在出现的弹出窗口中，复制登录URL并通过点击下载SSO证书进行下载。

Office 365（服务提供商）配置步骤

1. 以管理员权限打开Powershell。

2. 输入以下命令。在出现的弹出窗口中，输入Office 365管理员账户的用户名和密码。

   $cred = Get-Credential

3. 使用以下命令连接MsolService。

   Connect-MsolService -Credential $cred
   Get-MsolDomain

   此命令将显示域列表。

4. 输入您想启用SSO的域。

   $dom = "mycompany.com"

输入先决条件步骤 5 中的登录 URL 值，用于 $url 和 $uri 命令，以及用于 $logouturl 命令的注销 URL 值。

$url = "<登录 URL 值>"
例如，$url = "https://selfservice.com:9251/iamapps/ssologin/office365/1352163ea82348a5152487b2eb05c5adeb4aaf73"
$uri = "<登录 URL 值>"
例如，$uri = "https://selfservice.com:9251/iamapps/ssologin/office365/1352163ea82348a5152487b2eb05c5adeb4aaf73"
$logouturl = "<注销 URL 值>"
例如，$logouturl = "https://selfservice.com:9251/iamapps/ssologout/office365/1352163ea82348a5152487b2eb05c5adeb4aaf73"

现在复制 SSO 证书文件内容（来自先决条件步骤 5）并粘贴为以下命令的值。

重要：

请编辑文件，以确保在复制内容之前没有任何换行。

$cert = "MIICqjCCAhOgAwIBAgIJAN..........dTOjFfqqA="

要测试配置，请使用以下命令。

Get-MSolDomainFederationSettings -DomainName "mycompany.com" | Format-List *

ADSelfService Plus（身份提供商）配置步骤

1. 现在，切换到 ADSelfService Plus 的 Office 365 配置页面
2. 输入应用程序名称和描述。
3. 在域名字段中，输入您在 Office 365 配置步骤 4 中使用的域名。
4. 在分配政策字段中，选择需要启用 SSO 的政策。
   注意：ADSelfService Plus 允许您为您的 AD 域创建基于 OU 和组的政策。要创建政策，请转到 配置 → 自助服务 → 政策配置 → 添加新政策。
5. 选择启用单一登录。
6. 点击添加应用程序